Deutsche Sicherheitsforscher entdecken Lücken in Mozillas Anmeldedienst Persona

Wissenschaftler der Universität Trier haben gravierende Schwachstellen in dem von Mozilla entwickelten Log-in-System Persona identifiziert. Sie erlaubten es Angreifern, sich mit beliebigen E-Mail-Adressen von Google- oder Yahoo-Nutzern bei einer Website anzumelden und anschließend Daten fremder Benutzerkonten auszuspähen und zu verändern. Mozilla wurde bereits über die Lücken informiert und hat sie mittlerweile geschlossen.

Der von Mozilla ab 2011 zunächst als BrowserID entwickelte, später dann in Persona umbenannte und erst vor kurzem an die Community übergebene Anmeldedienst konkurriert mit den Single-Sign-on-Lösungen OAuth und OpenID. Ziel ist es, Anwendern das Log-in bei mehreren Sites mit einer einheitlichen E-Mail-Adresse und dem zugehörigen Passwort zu ermöglichen.

Anders als das von Facebook oder Google angebotene Log-in-System verzichtet Mozilla aber auf das Tracking. Der Verlauf der besuchten Websites wird bei Persona ausschließlich auf dem verwendeten Computer gespeichert. Das Grundkonzept von Persona begrüßen die Trierer Forscher Daniel Fett, Ralf Küsters und Guido Schmitz von der Professur für Informationssicherheit und Kryptographie daher.

„Es hebt sich, neben einigen technischen Vorteilen, durch seinen datenschutzfreundlichen Ansatz wohltuend von anderen Systemen ab“, sagt Küsters. Zugleich warnt er aber davor, Anwendungen blind zu vertrauen: „Sicherheitslücken verstecken sich meist in subtilen Details und sind oft nicht auf den Blick auszumachen.“ Die Informatiker um Professor Küsters entwickeln deshalb seit Jahren Verfahren für die Sicherheitsanalyse von Internet-Anwendungen.

Im März hatte Mozilla Persona an die Community übergeben und externe Entwickler aufgefordert, es in ihre Sites zu integrieren. Ihnen steht im Log-in-Dialog des Anmeldediensts die Möglichkeit offen, das Logo ihrer Site einzubinden und individuelle Nutzungsbedingungen zu verlinken.

Mozilla-Mitarbeiter Dan Callahan erklärte anlässlich der Übergabe, Mozilla werde Persona auch weiterhin unterstützen. Das ist wichtig, da vorher darüber spekuliert worden war, dass es aufgrund der vergleichsweise geringen Resonanz möglicherweise aufgegeben wird. Das im April 2013 ausgegebene Ziel, bis Ende des Jahres die Hälfte der Internetnutzer für Persona zu begeistern, wurde jedenfalls gründlich verfehlt.

Mozilla selbst will sich künftig vorrangig um Firefox Accounts für den Firefox-Browser und Firefox OS kümmern, die sich mit Mozilla Sync, dem Mozilla Marketplace und dem Dienst Find My Device nutzen lassen. „Wir glauben, dass diese Anforderungen dringender sind und daher eine höhere Priorität besitzen als Persona“, so Callahan.

[mit Material von Peter Marwan, ITespresso.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de